Afgelopen week was ik bij een informatiesessie over de Cbw van een lokale ondernemersvereniging, om te zien of ik nog wat kon leren van een collega-specialist.
Er kwam een vraag van een van de aanwezigen over de waarde van de NIS2-certificeringen. Daarbij raakte ik in een constructieve discussie, en ik denk dat mijn visie daarop het herhalen waard is.
De vraag was in de strekking van: “Wat zegt een particuliere certificering als hij niet wettelijk erkend is?”
Voor zover ik weet zijn er twee certificeringen: het CYRA van het CCV en de NIS2 Supply Chain. Beide zijn gericht op de leveranciersketen van organisaties die onder de Cbw vallen. Ze kennen allebei verschillende niveaus en zijn daarmee een groeimodel. Het CYRA is formeler, doordat certificeerders geaccrediteerd moeten zijn voor ISO 27006 of ISO 27001 en een licentie van het CCV moeten hebben. Voor de NIS2 Supply Chain gelden lichtere voorwaarden. De NIS2 Supply Chain is laagdrempeliger dan het CYRA. Full disclosure: ik ben auditor bij NIS2 Supply Chain en dus niet geheel onbevooroordeeld.
Eerst even wat achtergrond. De Cbw is een uitwerking van de Europese richtlijn Network and Information Security Directive 2, de vervanger van de NIS. Doordat NIS2 een richtlijn is, moet elk land deze omzetten in een eigen, lokale wet. Dat heeft als voordeel dat elk land nuances kan aanbrengen en de wet kan implementeren zoals die het beste bij dat land past. Het nadeel ligt bij internationaal opererende bedrijven. Voor hen is het een kleine ramp: ze moeten aan de Cbw voldoen, en ook aan alle andere NIS2-wetten, zoals de Duitse NIS2UmsuCG en de Belgische NIS2-wet.
Op landelijk niveau speelt deels hetzelfde. De Cbw geeft (in tegenstelling tot België) voor de meeste sectoren geen eenduidige set te nemen maatregelen om je veilig te houden. Ook de toezichthouder verschilt per sector. Alleen als je onder de overheid valt, moet je de BIO2 gebruiken, en in de zorg moet je NEN 7510 gebruiken (maar dan verplicht via de Wabvpz). Voor de overige sectoren is het belangrijk te beseffen dat je voor de wet niet voor één van deze hoeft te kiezen, maar dat het wel het handigst is om aan te sluiten bij wat je klanten kennen en gebruiken. En nog een belangrijk detail in deze wet is de ketenverantwoordelijkheid. Niet alleen jij moet bestand zijn tegen cyberaanvallen, maar ook je leveranciers (de keten) die je nodig hebt om te kunnen blijven leveren. Veel organisaties zullen met audits en vragenlijsten proberen aan die verplichting te voldoen.
Nu terug naar de oorspronkelijke vraag: wat is het nut van zo’n certificering als hij niets zegt over of je aan de wet voldoet?
Je hebt er vooral wat aan als jouw organisatie alleen aan andere organisaties levert. Want jouw klanten gaan aan jou vragen of je je zaakjes op orde hebt, en een consument, die niet onder de Cbw valt, gaat die vragen niet stellen. Een bedrijf kan met audits (als het bijzonder afhankelijk is) of met vragenlijsten controleren of de leverancier bepaalde zaken veilig heeft ingericht. Die worden dan bij elke nieuwe uitvraag of elk nieuw contract bijgevoegd. Zonder naar waarheid ingevulde vragenlijst, geen contract.
Als je die (verschillende) vragenlijsten bij elke nieuwe uitvraag of elk nieuw contract moet invullen, gaat dat aardig in de papieren lopen. Dan is het naar mijn mening slimmer om een certificeringstraject te starten. Dat doe je een keer per drie jaar (NIS2 Supply Chain), en dat certificaat helpt je aan te tonen dat je ten tijde van de audit aan bepaalde onderdelen van het normenkader voldoet. Dat klinkt wat vaag, maar de NIS2 Supply Chain-certificering kent drie niveaus. Daarmee kun je certificeren op het niveau dat bij jouw type organisatie past.
Lost dat al je problemen op? Waarschijnlijk niet, zeker niet in het begin. Want als je klanten de certificering niet kennen, blijven ze de vragenlijsten sturen. Maar het feit dat je zo’n certificering hebt ondergaan, laat je klant in ieder geval al zien dat je met veiligheid bezig bent.
Wat kun je hier deze week mee? Kijk of en hoeveel vragenlijsten je al binnenkrijgt. Als het invullen meer kost dan de certificering, kun je een certificeringstraject overwegen. In het andere geval weegt het niet op tegen de kosten.
Hoeveel vragenlijsten ben jij al in uitvragen of contracten tegengekomen?